Я тоже недавно начал разбираться в этом, и понял, что главное — не просто брать sha256 и всё, а внимательно смотреть, как соль вставляется. У меня был баг из-за неправильной кодировки строки перед хешированием, и хеши не совпадали. Сейчас делаю тестовые прогонки с разными входными данными и сверяю результат с библиотечными функциями. Понял, что без нормальной соли и алгоритмов вроде bcrypt или pbkdf2 пароли толком не защитить.